Podjetja danes poslujejo v digitalnem okolju, kjer lahko že ena sama napaka povzroči resne posledice. Napačen klik na elektronsko sporočilo, ukradene prijavne poverilnice ali spregledana ranljivost v informacijskem sistemu lahko napadalcem odprejo pot do poslovnih podatkov. Tarča pa niso le velike korporacije. Vse pogosteje so napadom izpostavljena tudi mala in srednje velika podjetja, saj napadalci iščejo predvsem priložnosti, ne velikosti organizacije.
Kibernetska varnost zato že dolgo ni več izključno naloga oddelka IT. Neposredno vpliva na neprekinjeno poslovanje, zaščito podatkov, odnose s partnerji in zaupanje strank. Tehnologija pa sama po sebi še ne zadošča. Programska oprema namreč lahko zazna opozorila, odločitev o tem, ali gre za resnično grožnjo, pa še vedno sprejme človek, kar odlično ponazarja delo varnostno-operativnega centra (SOC) v podjetju T-2. Kot sta v nedavnem podkastu povedala Benjamin Lazar, varnostni analitik, in Lucija Starc, svetovalka za rešitve na področju kibernetske varnosti v podjetju T-2, učinkovita zaščita podjetij temelji na povezavi tehnologije, strokovnega znanja in razumevanja poslovnih procesov.
Tehnologija sama ne zadostuje
Benjamin Lazar v varnostno-operativnem centru T-2 spremlja kibernetske incidente ter sodeluje pri njihovem odkrivanju in obravnavi. FOTO: T-2
V varnostno-operativnem centru analitiki 24 ur na dan spremljajo dogajanje v informacijskih sistemih podjetij. Ekipe delajo v izmenah vse dni v letu, saj se lahko varnostni incident zgodi kadar koli. Vsaka izmena spremlja alarme in analizira dogodke. Kot pravi Benjamin Lazar, je to njihovo vsakodnevno delo: »Sledimo grafom, spremljamo alarme in jih analiziramo.« Nadzor nad sistemi je neprekinjen, tako se lahko na morebitne incidente odzovejo takoj, ko jih zaznajo.
Pri delu jim pomaga platforma SIEM, ki na enem mestu zbira dogodke iz strežnikov, naprav in drugih varnostnih sistemov. Toda opozorilo še ne pomeni nujno napada. Nenavadna prijava iz tujine je lahko znak vdora, lahko pa pomeni tudi, da je zaposleni na službeni poti ali na dopustu. Prav zato tehnologija sama ne zadostuje. Opozori na odstopanje, odločitev pa sprejme analitik, ki dogodek postavi v pravi kontekst.
Kot poudarja Benjamin Lazar, približno 95 odstotkov vseh primerov rešijo analitiki prve stopnje. Njihova naloga je hitro ločiti lažne alarme od resničnih incidentov in ukrepati, še preden napadalec povzroči škodo. Forenzične preiskave so namenjene najzahtevnejšim incidentom. »Za zdaj forenzika še nismo klicali,« z nasmehom pove Lazar, ki upa, da bo tako ostalo še dolgo.
Benjamin Lazar, T-2: »Petindevetdeset odstotkov vseh primerov rešimo že analitiki prve stopnje.«
Znanje se gradi predvsem v praksi
Lazar je po izobrazbi diplomant informacijske varnosti. Študij mu je dal dobro teoretično podlago, vendar, kot sam pravi, je ob prihodu v varnostno-operativni center hitro ugotovil, da se pravo učenje začne šele pri vsakodnevnem delu. Vsak informacijski sistem je drugačen, vsako podjetje ima svoje procese, napadalci pa uporabljajo vedno nove pristope. Analitik poleg tehničnega znanja potrebuje tudi sposobnost presojanja, povezovanja informacij in nenehnega izobraževanja, kar je danes še posebej pomembno, ker se spreminjajo tudi načini napadov. »Napadalci so vedno bolj izvirni. Usmerjeni napadi so veliko bolj dodelani in se moraš res ustaviti ter dvakrat premisliti, preden nekomu potrdiš, da je nekaj varno,« pravi Lazar.
Od diplomirane babice do svetovalke za kibernetsko varnost
Lucija Starc je v T-2 zaposlena več kot sedem let, njena poklicna pot pa ni tipična za tehnološko panogo. Po izobrazbi je diplomirana babica. V podjetju je začela v klicnem centru, nadaljevala v nadzorno-operativnem centru in nato v SOC-u, kjer je bila analitičarka prve stopnje. Danes se v prodaji poslovnim uporabnikom osredotoča na kibernetsko varnost.
Prav netehnično izhodišče danes vidi kot prednost. Ker se je morala tehničnega razmišljanja naučiti, lažje razume sogovornika, ki izrazov in delovanja rešitev ne pozna. Njena naloga zato ni naštevanje funkcionalnosti, temveč prevajanje tehnologije v posledice za poslovanje.
Dve podjetji nimata enakih potreb
Lucija Starc pri delu s podjetji poudarja, da je učinkovita kibernetska zaščita vedno prilagojena konkretnim potrebam in načinu poslovanja. FOTO: T-2
Ko pride v podjetje, najprej preveri, s kom govori in kako organizacija deluje. Pogovor z direktorjem je drugačen od pogovora z nabavnikom ali tehničnim strokovnjakom. Razumeti mora ključne procese, podatke, razpoložljiva sredstva in razkorak med trenutno zaščito ter ciljem, ki ga želi podjetje doseči.
Absolutna varnost ni realen cilj. Če so ukrepi nesorazmerni in zaposlenim preveč otežijo delo, bodo začeli iskati bližnjice. Zato ni univerzalne rešitve, ki bi ustrezala vsem. Izpad elektronske pošte je lahko za eno podjetje le nevšečnost, za drugo pa resna ovira. Proizvodnemu podjetju lahko največjo škodo povzroči ustavitev procesa, spletni trgovini nedosegljivost strani, računovodskemu servisu pa kraja občutljivih podatkov.
Napadalec spremeni samo številko računa
Eden najnevarnejših primerov se začne z vdorom v elektronski predal zaposlenega, navadno v računovodstvu ali na mestu z višjimi pooblastili. Napadalec lahko več mesecev neopazno spremlja komunikacijo, proučuje račune, dobavitelje in obračunske roke. Ko razume vzorec, v naslednjem obdobju pošlje skoraj identičen račun, pri tem je spremenjena samo številka transakcijskega računa.
Takšen napad je težko opaziti, ker se sporočilo ujema z običajnim poslovanjem. Pomagajo napredna zaščita končnih naprav, spremljanje nenavadnega prenosa podatkov in jasno določeni postopki potrjevanja plačil. Če večji račun preveri več oseb, je bolj verjetno, da bo nekdo opazil odstopanje.
Med prvimi stvarmi, ki jih Starčeva preverja pri podjetjih, so gesla: njihova dolžina, zahtevnost, redno spreminjanje in predvsem to, ali zaposleni isto geslo uporabljajo na več mestih. Druga ključna točka je elektronska pošta, saj je še vedno ena najpogostejših vstopnih poti za napadalce. Ustrezno izobražen zaposleni pa je lahko prvi, ki prepozna poskus napada in ga pravočasno prijavi.
Po napadu želijo rešitve uvesti takoj
Odnos podjetja do zaščite se po incidentu praviloma hitro spremeni. Starčeva se je pogovarjala s strankami, ki so ure po napadu opisale kot stres, kakršnega niso doživele ne prej ne pozneje. Rešitve, ki so jih več let odlagale, želijo takrat uvesti takoj. Po njenih besedah si približno 80 odstotkov malih in srednje velikih podjetij po kibernetskem napadu nikoli popolnoma ne opomore. Poleg finančne škode se posledice pokažejo v ugledu, pogajalskem položaju, odnosih s partnerji in varnosti dobavne verige.
Lucija Starc, T-2: »Osemdeset odstotkov malih do srednje velikih podjetij si po kibernetskem napadu ne opomore.«
»Podjetje ima lahko najboljše in najdražje orodje na trgu, vendar cilj ni dosežen, če za njim ni ljudi, ki bi ga znali upravljati,« poudarja Starčeva. Velja tudi obratno: usposobljena ekipa brez ustreznih orodij in dovolj časa ne more učinkovito spremljati vseh dogodkov. Tehnologija in človek morata delovati usklajeno.
Za podjetja to pomeni, da kibernetska varnost ne sme biti samo enkraten nakup. Pri zagotavljanju varnosti gre za proces, ki se začne z razumevanjem poslovanja, nadaljuje z ustreznimi ukrepi in tehnologijo ter temelji na ljudeh, ki znajo nevarnost pravočasno prepoznati in se nanjo odzvati.
Več informacij o rešitvah kibernetske varnosti in delovanju varnostno-operativnega centra T-2 je na voljo pri strokovnjakih T-2, ki podjetjem pomagajo oceniti tveganja in izbrati zaščito glede na dejanske potrebe.
Vsebino ustvarja Vsebinski studio Delo mediji d.o.o.